Hvers vegna Docker VPN-portabindingin þín nær aldrei til OpenVPN

Gámurinn þinn getur hlustað á UDP 1195 á meðan hýsillinn birtir 1194, og það er rétt svo framarlega sem bindingin segir það. Tölurnar mynda þýðingartöflu: biðlarinn hringir í hýsilportið, Docker endurskrifar áfangastaðinn í gámportið og OpenVPN svarar á því porti sem eigin stilling þess tilgreinir. Ósamræmi í einhverri þessara hlekkja veldur hljóðlátri bilun sem lítur út eins og eldveggur. Skírteini og dulritun eru neðar og geta ekki lagað það.

Fylgdu einni pakkningu frá biðlara að ferli áður en þú breytir nokkru um auðkenningu.

Þrjár tölur, ein tenging

Þrjár tölurnar eru fjarlægi áfangastaðurinn sem biðlarinn notar, birt bindingin á hýsilnum og hlustandinn inni í gámnum. Þær þurfa ekki að vera jafnar, en þær verða að mynda keðju. Jafnar tölur eru sérstakt tilvik sem er fyrir tilviljun algengast, og þess vegna er auðvelt að skrifa ósamræmi einu sinni og erfitt að sjá það síðar.

Skrifaðu keðjuna á eina línu áður en þú kembir: biðlarafang og port, hýsilsbinding, gámhlustandi, flutningur. Galli í keðjunni birtist sem tala sem kemur tvisvar fyrir með mismunandi gildum.

Hvað stutta setningin segir í raun

Í stutta forminu er vinstri hliðin hýsilportið og hægri hliðin gámportið, og skástriksviðskeyti velur flutninginn. Slepptu viðskeytinu og Docker meðhöndlar bindinguna sem TCP, svo UDP-hlustandi bak við binding án samskiptareglu er hlustandi sem enginn kemst að. Það sjálfgefið er skjalfest og kemur enn á óvart fólki sem fékk tölurnar til að passa og taldi málið úti.

Langformið festir bindifangið og samskiptaregluna skýrt, sem er þess virði aukalínurnar fyrir allt sem snýr að neti. Lestu birtu bindinguna aftur í stað þess að treysta skránni sem bjó hana til.

ports:
  - 1194:1195/udp

Hvar pakkningin getur stöðvast

Beiðni getur verið hent fyrir Docker, í Docker eða hjá hlustandanum. Fyrir framan Docker getur verið eldveggur í skýi eða beinir sem framkvæmir eigin sendingu, og það tæki þarf portið sem snýr að hýsilnum og réttan flutning. Inni í Docker sendir binding á rangt gámport áfram á lokaða sökkul.

Þá hlustandinn: stilling OpenVPN tilgreinir port og samskiptareglu, og biðlari sem kemur á annað inni í gámnum nær engu. TCP-prófun á UDP-þjónustu sannar ekkert á neinu þessara stiga, svo notaðu þann flutning sem biðlarinn mun nota.

Bindiföng ráða aðgengi

Birt binding bundin við loopback er aðeins aðgengileg frá hýsilnum, en sú sem er bundin við öll viðmót er aðgengileg hvar sem eldveggurinn leyfir. Þessar tvær líta eins út í Compose-skrá sem sleppir fanginu, og sjálfgefið Docker er hið breiða.

Ákveddu hvaða útsetningu uppsetningin stefnir að og skrifaðu hana svo skýrt. Innra próf sem tengist um loopback og fjarlægur biðlari sem kemst ekki í samband geta bæði verið nákvæm lýsing á sama gámnum.

Lestu gangandi stöðuna

Skoðaðu raunverulega bindinguna á gangandi gámnum og hlustandann í nafnrými netsins. Compose-skrá kann að hafa verið breytt eftir að gámurinn ræstist, lýsigögn myndarinnar geta tilgreint port án þess að birta það, og annar gámur getur þegar haft hýsilportið. Að tilgreina port í mynd er ekki að birta það, og hvorugt er það sama og að hlusta.

Þrjár ólíkar stöður, þrjár ólíkar skipanir, og aðeins sú síðasta snertir OpenVPN.

Þegar bindingin er rétt

Þegar pakkningin nær til OpenVPN er annáll þess staðurinn til að lesa um TLS og auðkenningu. Að endurskapa skírteini til að laga pakkningu sem kom aldrei er sóun sem bætir við annarri breytu. Hafðu bindingarathugasemdina við biðlarasniðið svo næsta manneskja lesi eina línu í stað þess að enduruppgötva allar þrjár tölurnar. Eitt pakkninganám á hýsilhliðinni ræður því hver þriggja hlekkjanna er rangur, og það kostar minna en endurnýjun skírteinis.

Útgáfa gegnum brú er tilfellið sem lýst er hér. Hýsilnet og beint gámföng fara fram hjá þýðingunni, svo sömu tölur þýða eitthvað annað í þeim hönnunum.